scan-io-git/scan-io

All-in-One Multitool for Enhanced Security

## 什么是 Scanio？ Scanio 通过将多个开源和企业级扫描器整合到一个单一、可定制的解决方案中，简化了组织的安全扫描。专为预算有限的团队设计，它使团队能够高效且经济地保护代码安全。通过统一接口并免去从头为安全流程开发工具和方法的需要，Scanio 有助于提高代码质量、支持合规工作，并增强应用程序抵御漏洞的能力。 ## 核心功能 - 统一接口：使用一致的命令和标志（flags）来运行多个扫描器（例如 Semgrep、Bandit、Trufflehog、CodeQL），降低了安全团队和开发者的学习曲线。 - 容器化部署：预装了依赖项、插件和规则集，可实现快速且无忧的设置。 - 全面集成支持：Scanio 能够无缝处理代码克隆、管理 pull request 以及在 GitHub、GitLab 和 Bitbucket 等 VCS 平台上传扫描结果等任务。 - 基础设施就绪：可以轻松配置和部署 Scanio，支持使用自定义规则、配置和插件。 - 可扩展且灵活：专为安全应用设计，但通过其基于插件的架构，可轻松扩展至 QA 和 DevOps 领域。 - 高级 SARIF 集成：支持 SARIF 报告修补以满足特定需求，从而增强可用性；并可将 SARIF 数据转换为易于访问的 HTML 报告，其中包含代码片段和链接等交互元素。 - 简化合规性：简化跨开发阶段的安全流程，减少精力和资金投入。 - 可扩展性：适用于小型团队或大型企业，为多样化的安全扫描需求提供灵活性。 ## 支持的集成 ## 使用场景 上述每一个场景均可通过专为特定目的制定或针对单个项目定制的规则集来支持。 ### 临时扫描 非常适合需要在以下情况执行抽查或手动分析特定代码片段的安全团队和开发者： - 在开发期间扫描代码。 - 执行安全审计。 ### 自动后台扫描 作为周期性流程，识别代码库中的漏洞和密钥（secrets）。 ### CI/CD 流水线扫描 在分支合并期间自动扫描新代码变更。 ## 快速入门 ### 安装 1. 使用 Docker 安装： ``` docker pull ghcr.io/scan-io-git/scan-io ``` 2. 从源码构建并运行： ``` git clone https://github.com/scan-io-git/scan-io cd scan-io make build docker ``` ### 快速开始 运行你的第一次扫描： ``` git clone https://github.com/juice-shop/juice-shop cd juice-shop docker run -it -v $(pwd):/data ghcr.io/scan-io-git/scan-io analyse --scanner semgrep /data ``` ## 文档 探索 Scanio 全面的[文档](docs/README.md)，该文档采用 Diátaxis 框架结构化。 该文档涵盖了你需要了解的所有内容，包括教程、操作指南、概念解释和技术参考，帮助你有效地使用和扩展 Scanio。

标签：DevSecOps, EVTX分析, SARIF, 上游代理, 代码安全, 安全扫描, 日志审计, 时序注入, 漏洞枚举, 请求拦截, 调试插件, 错误基检测, 静态代码分析